[論文レビュー] High-Assurance Separation Kernels: A Survey on Formal Methods

Yongwang Zhao, David Sanán+2 more|arXiv (Cornell University)|Jan 6, 2017

Security and Verification in Computing参考文献 77被引用数 3

ひとこと要約

本論文は、高信頼性分離カーネルに応用された形式手法に関する包括的なサーベイを提示し、研究を体系化するための分析フレームワークと分類法を提案する。seL4 や mCertiKOS における完全形式的検証の進展を強調しつつ、仕様のボトルネック、マルチコア並列処理、完全形式的検証の自動化といった主要な課題を特定する。

ABSTRACT

Separation kernels provide temporal/spatial separation and controlled information flow to their hosted applications. They are introduced to decouple the analysis of applications in partitions from the analysis of the kernel itself. More than 20 implementations of separation kernels have been developed and widely applied in critical domains, e.g., avionics/aerospace, military/defense, and medical devices. Formal methods are mandated by the security/safety certification of separation kernels and have been carried out since this concept emerged. However, this field lacks a survey to systematically study, compare, and analyze related work. On the other hand, high-assurance separation kernels by formal methods still face big challenges. In this paper, an analytical framework is first proposed to clarify the functionalities, implementations, properties and standards, and formal methods application of separation kernels. Based on the proposed analytical framework, a taxonomy is designed according to formal methods application, functionalities, and properties of separation kernels. Research works in the literature are then categorized and overviewed by the taxonomy. In accordance with the analytical framework, a comprehensive analysis and discussion of related work are presented. Finally, four challenges and their possible technical directions for future research are identified, e.g. specification bottleneck, multicore and concurrency, and automation of full formal verification.

研究の動機と目的

• 分離カーネル分野における形式手法に関する体系的サーベイの不足に対処すること。
• 構造化された分析フレームワークを通じて、分離カーネルの機能、実装、特性、基準を明確化すること。
• 形式手法の適用、機能、特性に基づいて、既存の研究作業を分類・比較すること。
• 分離カーネルの形式的検証における継続的な課題を特定し、今後の研究の技術的方向性を提案すること。
• より安全で検証可能な高信頼性システムの開発を支援するため、形式的工学の実践を改善すること。

提案手法

• 機能、実装、特性、形式手法の適用に基づいて分離カーネルを特徴付ける分析フレームワークを提案する。
• 形式手法の適用、機能的能力、システム特性に基づいて、既存の研究を分類するための分類法を設計する。
• 分類法を用いて20以上の分離カーネル実装を比較分析し、形式的仕様、検証、認証に焦点を当てる。
• seL4、mCertiKOS、PROSPER などの形式的に検証されたカーネルの事例研究をレビューし、完全形式的検証アプローチを評価する。
• 事後検証の限界を分析し、形式的開発パイプラインにおいて段階的精製と検証済みコード生成を推奨する。
• 現在の研究におけるマルチコア対応、並列処理モデリング、形式的検証の自動化のギャップを特定する。

実験結果

リサーチクエスチョン

• RQ1 安全・信頼性が求められる分野において、分離カーネルに形式的手法を体系的かつ効果的に適用する方法は何か？
• RQ2 分離カーネル実装の完全形式的検証を達成するにあたり、主な課題は何か？
• RQ3 既存の形式的検証アプローチは、仕様の粒度、検証範囲、自動化の観点でどのように異なるか？
• RQ4 現在の事後検証技術の限界は何か？また、段階的精製を用いた形式的開発は、このプロセスをどのように改善できるか？
• RQ5 形式的に検証された分離カーネルにおけるマルチコアおよび並列処理の課題を解決するにあたり、最も有望な技術的方向性は何か？

主な発見

• 仕様のボトルネックは依然として主要な課題であり、異なるカーネル間で形式的仕様の再利用性や一般性が限定的である。
• 完全形式的検証は、seL4 や mCertiKOS といった複数のカーネルに成功裏に適用されており、正しさの機械検証済み証明が得られている。
• 現代のシステムにおける需要が高まる中でも、マルチコアおよび並列処理を伴う分離カーネルの形式的検証はまだ達成されていない。
• 事後検証が依然として主流であり、精製に基づく開発や検証済みコード生成の活用は限定的である。
• 低レベル最適化やアセンブリレベルのハードウェア操作の必要性から、検証済みコード生成は、形式的合成におけるマシンモデルの統合を要する。
• 本サーベイは、並列処理、マルチコア対応、および仕様から検証済みコードへのトレーサビリティをサポートする、自動的でエンドツーエンドの形式的開発パイプラインの明確な必要性を明らかにした。